标签
Socket完成6,000万美元C轮融资，估值达10亿美元，由Thrive Capital领投，a16z、Capital One Ventures等跟投，累计融资1.25亿美元。融资将用于扩展Socket Firewall恶意包拦截功能、扩大Certified Patches可达性修复覆盖范围，并加强对浏览器扩展、MCP服务器等AI工具的安全防护。 Shai-Hulud蠕虫自2025年9月起持续攻击npm、PyPI、Packagist等开源生态，Socket每周拦截超过10,000次供应链攻击，已保护27,000家组织包括Anthropic、xAI、Cursor、Vercel等头部AI企业，警示AI时代开源代码引入风险急剧上升。
攻击者使用被盗的PyPI API token，在5月19日发布了Microsoft durabletask包三个恶意版本（1.4.1、1.4.2、1.4.3），在5个文件中注入相同dropper代码，从C2服务器check[.]git-service[.]com下载rope.pyz第二阶段payload，窃取AWS、Azure、GCP、Kubernetes secrets、Vault及90多种敏感文件，并通过AWS SSM SendCommand和kubectl exec横向传播。该payload排除俄语系统，但针对以色列和伊朗系统有1/6概率触发rm -rf /数据销毁。若已安装这些版本，需立即删除并轮换所有云凭证、SSH密钥和密码管理器主密码，同时建议使用PyPI的OIDC trusted publisher机制防止此类供应链攻击。
2026年5月11日，攻击者使用被盗的发布凭证在npm上发布了超过170个包、在PyPI上发布了mistralai==2.4.6和guardrails-ai==0.10.1，总计404个恶意版本。攻击覆盖了TanStack（42个包）、Mistral AI（npm和PyPI）、UiPath（65个包）、OpenSearch及Guardrails AI等主要生态，通过Bun运行时执行凭证窃取payload，利用Session协议的洋葱路由网络进行C2通信，并通过污染.git-claude/settings.json和.vscode/tasks.json实现自我扩散。建议立即检查package-lock.json和requirements.txt中的受影响版本，并轮换暴露环境中的所有凭证。
2026年4月30日，PyPI上广受欢迎的深度学习框架lightning（前PyTorch Lightning）的2.6.2和2.6.3版本被发现供应链投毒：导入包时自动下载Bun运行时并执行11MB混淆载荷routerruntime.js，窃取令牌、凭证、环境变量和云端密钥，并利用受害者GitHub凭证将窃取数据提交至代码库，同时感染机器上的npm包tarball。上一干净版本为2026年1月30日发布的2.6.1，Lightning AI的GitHub账号存在凭证泄露迹象。该攻击属于"Shai-Hulud"供应链攻击家族，载荷存于运行时下载的外部JS文件，静态分析无法完全揭示其能力，开发者应立即回退至2.6.1并审查凭证。
2026年4月21日至23日，三起供应链攻击同时针对npm、PyPI和Docker Hub展开。攻击者通过被篡改的Checkmarx KICS镜像、pgserve蠕虫（CanisterSprawl）和xinference包窃取API密钥、云凭证、SSH密钥和环境变量。TeamPCP被确认策划了KICS和xinference攻击，而CanisterSprawl蠕虫使用Internet Computer Protocol作为C2通道，能跨生态系统自我传播。防御关键是：即使包已运行，也要立即轮换所有可能被访问的密钥，因为三个攻击活动的唯一目标都是从开发环境和CI/CD管道中提取凭证。
安全研究人员发现PyPI上四个版本的恶意包hermes-px（v0.0.1-0.0.4），该包伪装成“带Tor路由的安全AI推理代理”，实际将所有AI对话转发至突尼斯某大学被入侵的AI端点（prod.universitecentrale.net），同时将用户提示和AI响应双重泄露至攻击者控制的Supabase数据库（urlvoelpilswwxkiosey.supabase.co），并注入一个245KB的被盗商业AI系统提示；更危险的是，其遥测泄露故意绕过Tor直连外网，使用户真实IP暴露。C2基础设施字符串采用XOR+zlib+base64三层加密以对抗静态分析。建议立即卸载该包并检查系统中的hermes.log文件和hermes-telemetry线程。
2026年3月17日，PyPI官方包bittensor-wallet第4.0.2版被确认植入后门，上线约48小时后被下架。该恶意版本通过src/keyfile.rs中的collectformatmetrics()挂钩，在用户执行钱包解密操作时窃取coldkey/hotkey私钥，采用HTTPS域名、DGA域名和DNS隧道三种方式将加密载荷发送至C2服务器finney.opentensor-metrics.com等地址。建议受影响用户立即回退至4.0.1版并轮换全部钱包密钥。
攻击者利用被盗的PyPI凭证，在litellm包1.82.7和1.82.8版本中植入恶意代码，通过1.82.8的.pth文件在任意Python启动时自动执行，窃取SSH密钥、各云厂商凭证（AWS/GCP/Azure）、Kubernetes密钥及加密货币钱包文件，并在K8s集群每节点创建特权Pod安装systemd持久化后门。受影响平台为PyPI的Python生态，建议已安装这两个版本的开发者立即卸载并轮换所有凭证，审计集群中kube-system命名空间下名为node-setup-的Pod。
Python包num2words的0.5.15版本在2025年7月28日被发布到PyPI，但官方GitHub仓库中没有对应的标签，表明该版本未经正常发布流程。安全研究员@johnk3r发现该版本与已知威胁行为者"Scavenger"存在潜在关联，PyPI已迅速下架该版本以防止进一步安装。此事件提醒开发者应验证软件包发布记录与仓库标签的一致性。